一、 漏洞 CVE-2025-11445 基础信息
漏洞信息
                                        # Kilo ClineProvider 注入漏洞

## 概述

在 Kilo Code ≤ 4.86.0 版本中发现一个漏洞，位于 `Prompt Handler` 组件的 `src/core/webview/ClineProvider.ts` 文件中的 `ClineProvider` 函数。该漏洞允许远程攻击者通过特定操作发起注入攻击。

## 影响版本

- Kilo Code ≤ 4.86.0

## 细节

- 漏洞函数：`ClineProvider`
- 文件路径：`src/core/webview/ClineProvider.ts`
- 组件：Prompt Handler
- 漏洞类型：注入（Injection）
- 可被远程利用：是

## 影响

攻击者可远程利用该漏洞执行注入操作，可能导致应用程序行为异常或敏感信息泄露。相关漏洞利用代码已公开，存在被实际攻击使用风险。

## 解决建议

立即应用官方提供的补丁以修复此漏洞。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Kilo Code Prompt ClineProvider.ts ClineProvider injection
来源：美国国家漏洞数据库 NVD
漏洞描述信息
A vulnerability was detected in Kilo Code up to 4.86.0. Affected is the function ClineProvider of the file src/core/webview/ClineProvider.ts of the component Prompt Handler. Performing manipulation results in injection. The attack can be initiated remotely. The exploit is now public and may be used. Applying a patch is the recommended action to fix this issue.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L
来源：美国国家漏洞数据库 NVD
漏洞类别
输出中的特殊元素转义处理不恰当(注入)
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2025-11445 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-11445 的情报信息

  • 标题： Kilo Code AI Agent Exposes Users to Supply Chain Attack Via Prompt Injection | MCP Security Research -- 🔗来源链接

    标签： exploit

    Kilo Code AI Agent Exposes Users to Supply Chain Attack Via Prompt Injection | MCP Security Research

  • 标题： Prevent writing to files outside workspace by default to enhance security by hassoncs · Pull Request #2244 · Kilo-Org/kilocode · GitHub -- 🔗来源链接

    标签： issue-tracking

    Prevent writing to files outside workspace by default to enhance security by hassoncs · Pull Request #2244 · Kilo-Org/kilocode · GitHub

  • 标题： Prevent writing to files outside workspace by default to enhance security by hassoncs · Pull Request #2244 · Kilo-Org/kilocode · GitHub -- 🔗来源链接

    标签： issue-tracking patch

    Prevent writing to files outside workspace by default to enhance security by hassoncs · Pull Request #2244 · Kilo-Org/kilocode · GitHub

  • 标题： Login required -- 🔗来源链接

    标签： signature permissions-required

    Login required

  • 标题： CVE-2025-11445 Kilo Code Prompt ClineProvider.ts ClineProvider injection -- 🔗来源链接

    标签： vdb-entry technical-description

    CVE-2025-11445 Kilo Code Prompt ClineProvider.ts ClineProvider injection

  • 标题： Submit #667004: Kilo Code Kilo Code VS Code Extension 4.86.0 Insecure Permissions -- 🔗来源链接

    标签： third-party-advisory

    Submit #667004: Kilo Code Kilo Code VS Code Extension 4.86.0 Insecure Permissions
  • https://nvd.nist.gov/vuln/detail/CVE-2025-11445
四、漏洞 CVE-2025-11445 的评论

暂无评论

发表评论